仅允许来自同一 VPC、子网和安全组中的实例的 ELB 连接

Question

我当前的 ELB 工作正常，但出于安全原因，我想通过仅允许同一安全组中的实例来限制连接，因此我创建了一个额外的安全组，仅用于管理 ELB，我没有问题同时我允许 0.0.0.0/0 到 443 端口，但是当我删除规则时，我失去了连接，如果我允许实例的公共 ip 它将工作，但我有几个实例，所以它不是一个选项，我还尝试允许实例的私有 CIDR (10.0.0.0/24) 但它不起作用，我还尝试允许相同的安全组但不成功

提前致谢

Answer 1

设置应该是：

• Amazon EC2 实例上的安全组运行您的应用程序 (SG-App)，允许来自适当位置的传入流量访问应用程序
• 负载均衡器上的一个安全组 (SG-LB)，允许来自SG-App 的端口 443 上的入站连接

也就是说，SG-App 允许来自与SG-App 关联的任何实例的入站连接。这比允许“来自同一安全组”的连接要好得多，因为实例需要对 ELB 进行不同的设置。

当实例解析与负载均衡器关联的 DNS 名称时，它应该解析为一个私有 IP 地址 (10.0)。您可以通过连接到其中一个实例并尝试 ping/查找 ELB DNS 名称并查看它使用的 IP 地址来对此进行测试。